逆向学习笔记8——ASLR

ASLR他的中文名地址空间配置随机加载，具体解释你看百度百科。

现在根据一个例子来感受一下ASLR。—— 用动态调试拿到取得test1：的真实地址，并添加断点，准备好下面一点代码

int  age = 8;

- (void)viewDidLoad {
    [super viewDidLoad];
}

-(void)test1:(NSString *)txt{
    NSLog(@"%@",txt);
    NSLog(@"%d",age);
}

-(void)touchesBegan:(NSSet *)touches withEvent:(UIEvent *)event{
    [self test1:@"hello world"];
}

真机编译，拿到可执行文件通过ida拿到汇编代码如下：

__text:000000010000669C __ViewController_test1__                ; DATA XREF: __objc_const:0000000100008150↓o
__text:000000010000669C
__text:000000010000669C var_20          = -0x20
__text:000000010000669C var_18          = -0x18
__text:000000010000669C var_10          = -0x10
__text:000000010000669C var_8           = -8
__text:000000010000669C var_s0          =  0
__text:000000010000669C                 SUB             SP, SP, #0x30
__text:00000001000066A0                 STP             X29, X30, 
...
__text:000000010000671C                 ADD             SP, SP, #0x30
__text:0000000100006720                 RET

由上述代码可得知，这里的test1方法的地址为0x10000669C，那么如何通过这个地址给test1方法下断点呢？这里就要拿到ASLR了。通过lldb命令image list拿到machO文件的ASLR信息如下

(lldb) image list
[  0] 6A96B009-28DF-3AEF-BD9F-C4EAB418F08D 0x00000001006b0000 /Users/ioskaifa/Library/Developer/Xcode/DerivedData/ASLRDemo-arxdzzclvlcwyteiefmnlthalvmw/Build/Products/Debug-iphoneos/ASLRDemo.app/ASLRDemo 
[  1] 113803EC-7F69-36E6-B06A-BEF57A8755FD 0x0000000100704000 /Users/ioskaifa/Library/Developer/Xcode/iOS DeviceSupport/11.0.3 (15A432)/Symbols/usr/lib/dyld 
...

根据路径ASLRDemo.app/ASLRDemo明显的知道他就是可执行文件machO文件，拿到他的后8位地址0x006b0000，这就是ASLR。
再通过LLDB命令添加断点

(lldb) b -a 0x006b0000+0x10000669C
Breakpoint 2: where = ASLRDemo`-[ViewController test1:] + 32 at ViewController.m:23, address = 0x00000001005366bc

断点添加成功，perfect。到此，会不会还心存侥幸呢，难道这是一种偶然现象？接下来，作如下尝试：

• 通过命令，得到age的地址

(lldb) p &age
(int *) $1 = 0x00000001006b8dd0

再通过$1-ASLR拿到machO的偏移地址，
0x1006b8dd0 - 0x006b0000 = 0x100008dd0

通过machOView打开上述可执行文件

image.png

从machOView里面拿到的值，刚好与之前给age设置的值一样，刚好符合我们的最初的设想。
所以，结论 machO的偏移地址+ASLR=实际内存地址

注，由于0x100000000是machO文件的虚拟内存，所以在此处只需要找后8位即可